応用情報技術者試験 応用情報技術者試験 平成30年度春期 午前 問58: システム利用者に対して付与されるアクセス権の管理状況の監査で判明した状況のうち，監査人がシステム監査報告書で報告すべき指摘事項はどれか。

正解

エ. 退職・異動したシステム利用者に付与されていたアクセス権の削除・変更は，定期人事異動がある年度初めに全てまとめて行われていた。

正答率 58.8%（1,323人中 778人が正解）

問題の解説

システム監査報告書には、統制が有効に働いていない状態、つまり不備を指摘事項として記載する。退職・異動した人のアクセス権を速やかに削除・変更しなければ、不要な権限が残り、不正利用や情報漏えいの危険が続く。年度初めまで全てまとめて処理する運用は、この管理の不備にあたる。ほかの選択肢は、規程の整備・周知・定期レビューという有効な統制の例である。

選択肢ごとの解説

• ア遵守事項の規程化と周知は、有効な統制が働いている状態であり、指摘事項にはならない。
• イ部門長による付与状況の定期的なレビューは、不適切な権限を見つけられる有効な統制で、指摘事項にはならない。
• ウ付与・変更・削除の管理手続を規程で定めているのは、望ましい状態で、指摘事項にはならない。
• エ正しい。退職・異動後も年度初めまで不要な権限が残るので、不正利用の危険がある。事由の発生後に速やかに削除・変更すべきで、指摘事項となる。